令和4年度 春期 午前Ⅱ 問25
システム監査
業務処理統制に該当するもの
金融庁“財務報告に係る内部統制の評価及び監査に関する実施基準（令和元年）”におけるアクセス管理に関して，内部統制のうちの IT に係る業務処理統制に該当するものはどれか。
- ア組織としてアクセス管理規程を定め，統一的なアクセス管理を行う。
- イ組織としてアクセス権限の設定方針を定め，周知徹底を図る。
- ウ組織内のアプリケーションシステムに，業務内容に応じた権限を付与した利用者 ID とパスワードによって認証する機能を設ける。
- エ組織内の全ての利用者に対して，アクセス管理の重要性についての教育を行う。
答えと解説を見る
✓ これが正解ウ組織内のアプリケーションシステムに，業務内容に応じた権限を付与した利用者 ID とパスワードによって認証する機能を設ける。
解説
アプリケーションに認証機能を組み込むのが業務処理統制です。
IT に係る業務処理統制は、個々の業務を処理するアプリケーションシステムの中に組み込まれた統制です。入力データのチェックや、利用者ごとのアクセス制御などが当たります。業務の内容に応じた権限を付けた利用者 ID とパスワードで認証する機能をアプリケーションシステムに設けると、権限の無い人がその業務の処理を行えなくなります。これはシステムそのものに備わった統制なので、業務処理統制に当たります。見分けるときは、組織全体に向けた取組みか、特定のシステムに機能として組み込まれたものかを確かめます。
ほかの選択肢はなぜ違うのか
- ア組織としてアクセス管理規程を定め，統一的…：アクセス管理規程を定めて統一的に管理するのは、会社全体のルールを文書で決める取組みです。1 つ 1 つの業務プログラムの中で働く仕掛けではないので、区分が違います。
- イ組織としてアクセス権限の設定方針を定め，…：アクセス権限の設定方針を定めて周知徹底するのは、組織全体の方針を示す取組みです。特定のシステムの中で働く仕組みではないため、業務処理統制には分類されません。
- エ組織内の全ての利用者に対して，アクセス管…：全ての利用者にアクセス管理の重要性を教育するのは、組織の意識を高める取組みです。システムに機能として備わる統制ではないので、業務処理統制とは区分が異なります。
この問題の用語
- 業務処理統制個々の業務の処理が正しく行われるよう、中に組み込む統制です。入力した値と原票を突き合わせる手続が、その一例です。
- アクセス管理誰がどの情報にどこまで触れてよいかを決めて保つ仕事。退職者のIDが残っていないかを名簿と突き合わせます。
- 内部統制不正やミスを防ぐため、承認や記録、点検といった手続きを業務そのものに組み込んでおく社内の仕組み。整備と運用の最終責任は経営者が負います。
- 組織目的を果たすために、人が役割を分けて集まったまとまりのことです。分け方には機能別、事業部制、マトリックスなどの形があります。
- アクセス権限「アクセス権」と同じ意味です。参照だけができる許可と、書き換えもできる許可のように、種類に分けて示すときによく使われる言い方です。
- パスワード本人だけが知っているという前提で使う合言葉。他人に知られた時点で、本人確認の役目を果たさなくなります。
- 認証名乗ったとおりの本人か、通信の相手が本物かを確かめる手続き。ここを経ずに入り込む裏口があると、後の許可の仕組みが働きません。
出典：令和4年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問25
同じ用語が出る問題
- 令和7年度 春期 午前Ⅱ 問25：内部統制に関する問題（内部統制）
- 令和6年度 秋期 午前Ⅱ 問25：業務処理統制に該当するもの（業務処理統制）
- 令和6年度 春期 午前Ⅱ 問25：ITに係る全般統制に該当するもの（内部統制）
- 令和5年度 春期 午前Ⅱ 問17：SQLインジェクションの問題（アクセス権限）
- 令和元年度 秋期 午前Ⅱ 問17：SQLインジェクションの問題（アクセス権限）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）